Ага, раньше так тоже плясал — ключи в коде, и это нормально казалось, пока однажды утром не понял, что выложил все в публичку. Сейчас .env с разными версиями — это стандарт. И да, права на файлы тоже иногда забываешь, а потом бегать с исправлениями. Главное, чтоб ключи не валялись на свету и не логировались случайно — погодишься, с таким подходом живее код и спать спокойнее.